あべてっく

Tweet

ちょっと関わりのあるサイトで、WordPressの管理画面がおかしいというので調査をしました。
入って見ると管理画面のレイアウトが崩れています。
またプラグインがうまく認識されてないのか、プラグイン一覧が空白になってます。

とりあえずサイトにFTPで繋いで、wp-config.phpの上の方に

を足すと管理画面の崩れはなおりました。でもプラグインはあいかわらず空っぽのままです。
しかし/wp-content/plugins/を確認してみると、プラグインはちゃんとあります。パーミッションも問題ないようです。

もっかいwp-config.phpを確認してみます。

・・・・

よく見ると、冒頭に見慣れぬ行が入ってます。

あり？zend frameworkなんて使ってたっけ（・ω・｀

・・・（思考停止）

あ

なんじゃこりゃー（・ω・｀

やられてました。いつの間にかなんか変なコードを埋め込まれてます。

とりあえずSSHでサーバーにログインし、findコマンド叩いてどれくらいやられてるか調査します。

うわあ（＾ω＾；
出てくる出てくらわうぇあfっがg

WordPressの管理モジュール等も含め、数百のPHPファイルの冒頭にかたっぱしからこの$zend_frameworkと文字列が入っていましたorz
どっからやられたんだ・・・

更に調べると、とりあえず感染しているのはPHPファイルだけのようです。
感染ファイルのタイムスタンプは、以前作業した日とほぼ同じで特に怪しい感じはしない気がします。
サーバーのログも洗ったのですが、FTP、SSHのアクセス履歴に怪しい箇所はありません。
とすると、wordpressの管理画面経由からパスワード総当たりで入られたか、元来の脆弱性を突かれたのでしょうか。

・・・wordpressの管理ユーザーに、ユーザー名とパスワードが空白の人が追加されていました＾＾；
やっぱり管理画面からやられたのでしょうか。でもWordPressに含まれていないPHPソースもやられてるので確証は持てません。

他にも同様の事例がないか調べてみると、このような記事がありました。

この記事で埋め込まれたコードはこちらのものとほぼ同じです。
また記事内でこの文字列をデコードしたものも公開していますが、
自分が調査中の感染を（中途半端ながら）デコードしてみたものとこれまたほぼ同じでした。おそらく同一発信源と思われます。

んで肝心のこの埋め込まれたブツが何をするかなのですが、上記のサイトの説明を参照させてもらうと
どうやらIPやユーザーエージェントなどアクセスユーザーの環境情報を外部サイトに送り、その結果「なんか」を
ひっぱってくるそうです。

そしてなにを引っぱってくるのかは怖くて詳しく確認できませんでしたw
なお外部サイトはIPでなくドメイン名で指定されています。caドメインなのでカナダのサーバーですね。
んでカナダのwhoisで確認すると、ドメイン登録者のメールアドレスはロシアになっています。

記事のコメント欄を見ると、ハロードリープラグインが怪しい、いや怪しくない、管理画面からパスワード総当たりされた等不確定な情報が飛び交っています。
一応/wp-content/plugins/フォルダを確認してみると、確かに怪しいタイムスタンプで感染コードとハロードリープラグインが書かれたindex.phpが置いてありました。
あながち関係あるのかな＾＾；

まだ感染路や影響範囲が完全にはわからないので、さしあたり応急策ということになりますが、
記事主の方は、もし感染したらとりあえず感染してないバックアップから復旧させるか、無理なら手作業で感染箇所を探して削除していくことと、
またwordpressのプラグインが全て最新か確認することを推奨しています。
wordpressを使用している皆様は是非一度ソース内のPHPファイルを確認されることをお勧めします。

WORDPRESSセキュリティ対策　基本マニュアル

posted with amazlet at 13.06.20

Lotus Web Studios (2012-12-05)
売り上げランキング: 11,284

Amazon.co.jpで詳細を見る